Almanya'da yaklaşık 30.000 işletme, NIS-2 Uygulama Yasası'nın gerekliliklerini yerine getirmek zorundadır. Para cezaları 10 milyon avroya veya yıllık cironun yüzde 2'sine kadar çıkabilir. Ayrıca, ihmal sonucu ortaya çıkan ihmallerde yönetim kurulu üyeleri şahsen sorumludur; bu sorumluluk devredilemez.

§30 BSIG (BSI Kanunu), kapsam dahilindeki her kurumun ele alması gereken on eylem alanını tanımlamaktadır: Risk analizi ve BT güvenliği, güvenlik olaylarının yönetimi, iş sürekliliği, tedarik zinciri güvenliği, satın alma ve geliştirme sürecinde güvenlik, etkinlik değerlendirmesi, siber hijyen ve eğitimler, kriptografi ve şifreleme, personel güvenliği ile çok faktörlü kimlik doğrulama.

Ciddi güvenlik olaylarında, BSIG’nin 32. maddesi, olayın öğrenildiği andan itibaren BSI’ye kademeli bir bildirim yapılmasını gerektirir: 24 saat içinde erken uyarı, 72 saat içinde tam olay bildirimi ve en geç bir ay sonra nihai rapor. Bu süreci önceden kurmamış olanlar, acil bir durumda bunu organize edemezler.

Yasa, “ISMS” (Bilgi Güvenliği Yönetim Sistemi) terimini açıkça belirtmese de, BSIG’nin 30. maddesinin 2. fıkrasında tam da bu sistemin bileşenlerini şart koşmaktadır: risk analizi, güvenlik konseptleri, farkındalık eğitimleriyle desteklenen ve uygulamaya geçirilmiş bir güvenlik kültürü ile denetimler veya sızma testleri yoluyla sürekli olarak gerçekleştirilen etkinlik değerlendirmeleri. ISO/IEC 27001 veya BSI IT-Grundschutz standardına uygun bir ISMS uygulayanlar, gerekli temel çerçevenin yüzde 80 ila 90’ını karşılamış olurlar.